Çinli saldırganlar PHP2Shell ile 25 sunucuda root erişimi elde etti

PHP2Shell, PHP’de bulunan iki kritik açığa verilen ad. PHP, internetteki web sitelerinin ve web uygulamalarının yaklaşık yüzde 70’ini çalıştıran bir programlama dili. Açıklar ilk duyurulduğunda yama yoktu ve web sitelerinin tamamen ele geçirilmesine imkân verdiği iddia edildi. Avrupa’daki bazı devlet ve eğitim kurumları toplu saldırı beklentisiyle sitelerini önceden kapattı.

Amazon, ilk saldırıları yamadan 4 gün önce gördüğünü açıkladı. Cloudflare ise yama duyurusundan önceki 10 saatte binlerce girişim kaydetti. Bu sayı duyurudan sonraki 1 saatte on binlere, 2 saatte yüz binlere çıktı, bugün milyonları buldu. Yine de şimdiye kadar başarılı bir ihlal görülmemişti.

15 dakikada kalıcı root erişimi

Dream’e göre saldırılar 23 Ekim 2026’da ABD, Japonya, Tayvan ve Güney Kore’deki firmaları yoklamakla başladı. Saldırganlar kısa sürede eski ve açık barındıran bir PAN-OS sürümü çalıştıran Palo Alto Networks cihazlarına yoğunlaştı. PHP2Shell’i, Mayıs ortasında duyurulan ve CVE-2026-46300 koduyla izlenen Fragnesia adlı Linux çekirdeği açığıyla zincirlediler. Bu açık, yetkisiz kullanıcıların root, yani sistemdeki en yüksek yetkiyi almasını sağlıyor.

Şirket, kimlik doğrulamasız bir HTTPS bağlantısından kalıcı bir root webshell’e uzanan zincirin 15 dakikadan kısa sürede tamamlandığını bildirdi. Saldırganlar cihazlara girdikten sonra 40 kadar özel betik çalıştırdı. ABD hükümetiyle bağlantılı bir güvenlik duvarını ele geçirdikten birkaç saat sonra iç ağa sızdılar ve kapsamlı bir Active Directory saldırısı başlattılar. Dream, saldırganların erişiminin hâlâ sürdüğünü düşünüyor.

Kimlik doğrulamasız bir HTTPS bağlantısından kalıcı bir root webshell’e uzanan zincir 15 dakikadan kısa sürede tamamlandı.

Claude Code ve Çin yapımı modeller

Dream, saldırıda yapay zekâ kullanıldığına dair kanıt bulduğunu ancak sürecin tam otomatik olmadığını değerlendirdiğini açıkladı. Sistemlerde Claude Code ile DeepSeek ve Kimi modelleriyle yapılandırılmış AIscan adlı bir saldırı platformu kuruluydu. Araştırmacılar ayrıca Shodan arama motorunun Çin’deki karşılığı olan FOFA’ya ait API anahtarları buldu.

Saldırganların FOFA yardımıyla internete bağlı yaklaşık 19.000 Palo Alto Networks güvenlik duvarı belirlediği iddia ediliyor. Araştırmacılar, ele geçirilen kalıntılarda saldırının nihai amacına dair bilgi bulamadıklarını belirtti. Açıkça görülen hedefler kalıcı erişim ve kimlik bilgisi hırsızlığıydı.